Cultura Organizacional de segurança Cibernética – Decálogo para proteção de dados pessoais

Introdução

A segurança cibernética e a proteção de dados pessoais são questões relacionadas em um mundo cada vez mais conectado pela Internet. Não precisamos destacar que a temática é de extrema importância. 

Com o aumento do investimento tecnológico e o exponencial crescimento dos dados, particularmente de informações sensíveis, sendo armazenados, processados ou transmitidos em redes, é essencial que as organizações adotem uma cultura organizacional de segurança cibernética para mitigar riscos e proteger seus dados contra incidentes cibernéticos.

Uma cultura organizacional de segurança cibernética refere-se a um conjunto de valores, normas e procedimentos que promovam a conscientização de todos os integrantes de uma organização em relação à segurança cibernética.

No Brasil, várias iniciativas foram tomadas para promover uma cultura de segurança cibernética. O Governo Federal, por meio da Lei Geral de Proteção de Dados (LGPD), estabeleceu diretrizes para a proteção de dados pessoais, incentivando as organizações a implementarem medidas de segurança adequadas para garantir a privacidade e a integridade das informações. a Autoridade Nacional de Proteção de Dados (ANPD) foi criada para orientar as organizações sobre violação de dados pessoais.

Além do Brasil, diversos outros países têm buscado criar seus arcabouços normativos para proteger a privacidade de seus cidadãos. Também existem diversos exemplos de iniciativas para promover a segurança cibernética e proteção de dados pessoais em outros países. A União Europeia, por exemplo, implementou o Regulamento Geral de Proteção de Dados (GDPR), que estabelece regras abrangentes para a privacidade e a segurança dos dados pessoais.

Em termos mundiais, a convenção de Budapeste, criada em 2021, e firmada pelo Brasil recentemente através do Decreto nº 11.491 de 12 de abril de 2023, traz em seu texto a necessidade do direito ao respeito pela vida privada. Essa convenção é um exemplo do esforço internacional contra os crimes cibernéticos, entre estes o que atentam contra a vida privada das pessoas.

"...Convencidos de que a presente Convenção é necessária para impedir ações
conduzidas contra a confidencialidade, a integridade e a disponibilidade
de sistemas informáticos, redes e dados de computador, bem como para impedir
o abuso de tais sistemas, redes e dados, ao prever a criminalização de tais
condutas, tal como se encontram descritas nesta Convenção, e ao prever a 
criação de competências suficientes para combater efetivamente tais crimes, 
facilitando a descoberta, a investigação e o julgamento dessas infrações 
penais em instâncias domésticas e internacionais, e ao estabelecer mecanismos
para uma cooperação internacional rápida e confiável..."        

Outro exemplo de esforço internacional é o Electronic Privacy Information Center (EPIC), que é um centro de pesquisa de interesse público em Washington, nos Estados Unidos da América, que busca proteger a privacidade, a liberdade de expressão e os valores democráticos na era da informação.

Percebe-se com os exemplos acima, que não são restritos os esforços em proteger os dados pessoais, particularmente contra as ameaças cibernéticas.

Criando uma Cultura de Segurança Cibernética para proteção de dados pessoais

No intuito de se construir uma cultura organizacional de segurança cibernética com ênfase na proteção de dados pessoais, particularmente voltada para a proteção de dados de seus usuários, é importante seguir alguns passos. Cabe destacar, que não há uma fórmula mágica de implementação, o processo passa por ciclos de evolução e maturidade, o que, consequentemente, demanda tempo e esforço contínuo. Neste intuito, devemos avaliar o seguinte decálogo:

1) Compreensão da legislação e regulamentações sobre Proteção de Dados Pessoais.

2) Análise de riscos a partir da identificação e avaliação de dados pessoais.

3) Conscientização e capacitação dos usuários sobre segurança cibernética e proteção de dados pessoais.

4) Desenvolvimento de políticas, diretrizes e procedimentos para proteger dados pessoais.

5) Controles de acesso e autenticação.

6) Criptografia e anonimização para proteger dados pessoais.

7) Preparação técnica para monitoramento e detecção de incidentes cibernéticos, particularmente com risco de exfiltração de dados.

8) Plano de tratamento e resposta a incidentes específicos que envolva a exfiltração de dados pessoais.

9) Processo de melhoria contínua de políticas, diretrizes, planos e procedimentos.

10) Comprometimento em todos os níveis.

Conclusão

Infere-se, portanto, que criar uma cultura organizacional de segurança cibernética com ênfase na proteção de dados pessoais é essencial para lidar com vários desafios atuais. Por meio da conscientização, treinamento, implementação de medidas técnicas e colaboração com entidades reguladoras, as organizações podemos fortalecer proteção contra incidentes cibernéticos, protegendo assim os dados e a confiança de todos os usuários.